Het bedrijf begon in januari 2017 met de scans en dat ging door tot november 2018. Er waren drie vingerscanstations aanwezig. Een van die drie werd gebruikt voor het testen en voor het vastleggen van vingerafdrukken, de andere twee voor in- en uitklokken.

Al deze scanstations wisselden volgens de AP gegevens uit met een softwareprogramma, waarmee het bedrijf naast controle op afwezigheid inzicht kon krijgen in werktijden, ziekteverzuim en overuren.

In totaal zijn 1.348 vingerafdrukken van 337 werknemers opgeslagen. Wanneer een werknemer uit dienst ging, werden de gegevens niet verwijderd. Wel werden ze geblokkeerd in het softwareprogramma.

"Het bedrijf heeft niet alleen de biometrische gegevens van huidige werknemers bewaard, maar zonder noodzaak ook langere tijd die van voormalig werknemers", schrijft de AP. "Bovendien waren de werknemers onvoldoende geïnformeerd over de verwerking en staat niet vast dat zij toestemming hebben gegeven."

Biometrische gegevens, zoals een vingerafdruk, zijn bijzondere persoonsgegevens. Een organisatie mag alleen bijzondere persoonsgegevens gebruiken als daarvoor in de wet een uitzondering is. Dat was bij dit bedrijf niet het geval.

"Deze categorie persoonsgegevens wordt door de wet extra beschermd", aldus Monique Verdier, vicevoorzitter van de AP. "Komen deze gegevens in verkeerde handen, dan kan dit mogelijk leiden tot onherstelbare schade. Zoals chantage of identiteitsfraude."

Dit is de eerste keer dat de AP een boete heeft uitgedeeld voor het gebruiken van een vingerscan. Het is meteen de hoogste boete die de toezichthouder ooit heeft uitgedeeld.

Het is niet bekend om welk bedrijf het gaat, een rechter heeft bepaald dat de AP de naam van het bedrijf niet openbaar mag maken. De organisatie in kwestie heeft bezwaar gemaakt tegen het besluit van de AP.